网络分析学习资料 -10bet十博欢迎您
借助arp诊断查找网络故障
一、 arp简介
arp为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。因为局域网的通信是基于mac地址的，而更多的程序都是基于ip地址，这就要有ip到mac的映射了。ip数据包常通过以太网发送。以太网设备并不识别32位ip地址：它们是以48位以太网地址传输以太网数据包的。因此，ip驱动器必须把ip目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的mac地址。但这个目标mac地址是如何获得的呢？它就是通过地址解析协议获得的。“地址解析”就是主机在发送帧前将目标ip地址转换成目标mac地址的过程。arp协议的基本功能就是通过目标设备的ip地址，查询目标设备的mac地址，以保证通信的顺利进行。
在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的mac地址的。arp工作时，送出一个以太网广播包，目的地主机以一个含有ip和以太网地址对的数据包作为应答。如果请求包和回应包的数量相差太大，这是不正常的。
二、 应用分析
在科来网络分析系统的诊断设置中，arp也被单独列出，有arp太多无请求应答、arp扫描、arp请求风暴。如图1，
图1 在科来网络分析系统中arp诊断设置的相关信息
在图1中，我们可以看到科来网络分析系统中诊断中的关于arp的一些信息设置情况。
我们使用科来网络分析系统对捕获到的数据进行分析诊断，从专家诊断视图可以看到网络的诊断信息，如图2，
图2 科来网络分析系统的诊断视图的arp信息
图2中，我们可以看出网络中存在故障，出现arp太多无请求应答和arp请求风暴，这是不正常的。我们可以在诊断视图下面的事件信息中知道故障的源和目标，并且定位源和目标。
在图2中，看到的源是00:20:ed:aa:0d:04，我们定位到源，查看数据包视图，如图3，
图3
从图3中，我们可以看到几乎都是00:20:ed:aa:0d:04发出了arp请求广播包。
我们再点击协议视图，也看出arp请求远远大于应答，如图4，
图4 科来网络分析系统协议视图中arp协议的信息
从图3中，可以清楚的看到arp协议的详细信息。arp请求和应答相差太大，是正常网络不可能出现的。
通过以上分析，我们可以知道mac地址为00:20:ed:aa:0d:04的主机，可能存在arp攻击，我们将该主机断网，再使用科来网络分析系统来对网络进行分析，发现网络正常，然后单独对故障主机行进检查，故障解决。